딥시크는 올 초 한국 AI 시장에 돌풍을 일으키며 단숨에 챗GPT 다음으로 많은 사용자를 확보했다. 생성형 AI 서비스 중에서도 특히 빠른 반응속도와 무료 제공이라는 장점으로 120만 명이 넘는 사용자를 끌어모았지만, 그 뒤에는 심각한 개인정보 보호의 공백이 존재했다.

개인정보보호위원회가 실시한 실태점검 결과, 딥시크는 개인정보 처리방침 미비, 국외 이전 동의 부재, 아동 연령 확인 절차 미흡 등 복수의 법 위반 사항을 드러냈다. 문제는 이 같은 허점이 국내에 진입한 외국계 AI 서비스에서 반복되고 있다는 점이다. AI가 입력값을 학습에 활용하면서도 이용자의 거부권을 명시하지 않고, 민감한 정보가 외국 서버로 이전되는 과정을 통제하지 못하는 구조는 정보 주권 침해로 직결된다.

기술은 국경을 넘지만, 규제는 국경 안에 갇혀 있다. 지금처럼 해외 AI 기업이 국내에서 서비스를 제공하면서도 국내 법령을 무시하는 방식이 방치된다면, 사용자는 정보 주체로서의 권리를 보호받지 못하는 결과를 맞게 될 것이다.

정부는 이번 사례를 단발성 행정처분으로 끝내지 말고, 해외 플랫폼에 대한 사전검증 제도 마련과 함께 국제적 공조 체계 구축에 속도를 내야 한다. 9월 서울에서 열릴 글로벌 프라이버시 총회는 한국이 AI 개인정보 규범의 기준을 주도할 수 있는 기회다. 기술은 혁신을 만들어내지만, 그 혁신이 사람을 지우는 방식이어서는 안 된다.